Ich vermisse so einige Programme...

[mifritscher]

Libreoffice wird doch kaum jemand ernsthaft fürs Betrachten von pdf-Dateien verwenden... Von den 3 letzten habe ich auch noch nie was gehört. Dafür vermisse ich Okular, ghostscript und Evince.

[hab (Golem.de)]

mifritscher schrieb:
--------------------------------------------------------------------------------
> Libreoffice wird doch kaum jemand ernsthaft fürs Betrachten von pdf-Dateien
> verwenden... Von den 3 letzten habe ich auch noch nie was gehört. Dafür
> vermisse ich Okular, ghostscript und Evince.

Vorletzter Absatz: "Nicht in der Liste der betroffenen Programme sind die quelloffenen PDF-Betrachter Evince und Okular sowie auch keine Browser. Das hat einen einfachen Grund: Diese Programme unterstützen die Verifikation von PDF-Signaturen überhaupt nicht."

Ghostscript ist sowieso inhärent unsicher und auf keinen Fall dafür geeignet Dokumente aus nicht vertrauenswürdigen Quellen zu öffnen.

[mifritscher]

Oh, ich dachte dass schonmal gesehen zu haben...

Ah, poppler (die Bib dahinter) kann es, aber sie haben es noch nicht in die GUIs verdrahtet.
Dann hätte man poppler testen können - gibt mit pdfsig sogar ein (cli-)Frontend ;-)

Es spuckt zumindest schonmal Meldungen wie
> Syntax Error (0): Invalid or missing ByteRange array
und
> File 'isa-1.pdf' does not contain any signatures
aus.

Bei https://www.pdf-insecurity.org/download/exploits/5_Foxit_Reader/siwa.pdf knallts (Speicherschutzverletzung) - das könnte ein Hinweis auf eine Sicherheitslücke sein.

Version: 0.62.0-2ubuntu2.7

[Kaedo]

Danke für den Hinweis.

VG
Martin

[hab (Golem.de)]

mifritscher schrieb:
--------------------------------------------------------------------------------
> Bei www.pdf-insecurity.org knallts (Speicherschutzverletzung) - das könnte
> ein Hinweis auf eine Sicherheitslücke sein.
>
> Version: 0.62.0-2ubuntu2.7

Das dürfte dann eher daran liegen dass ubuntu eine uralte Version hat und mit dem Backporten der Securityfixes nicht nachkommt. Bei einer aktuellen Version crasht das nicht.
Poppler wurde vor einiger Zeit in das oss-fuzz-Projekt von Google aufgenommen und seither wurden hunderte von potentiellen Sicherheitslücken gefixt.



1 mal bearbeitet, zuletzt am 25.02.19 09:36 durch hannob (golem.de).

[mifritscher]

Danke fürs testen! Gut zu wissen, das war Ubuntu 18.04 LTS. Dann muss ich wohl Ubuntu ein wenig auf die Finger hauen ;-)

[DeathMD]

Da kamen aber erst am Wochenende Updates rein, also für ghostscript und poppler. Müsste man nachsehen, was da gefixt wurde.

BRAWNDO: The Thirst Mutilator

It's got Electrolytes

[chefin]

hannob (golem.de) schrieb:
--------------------------------------------------------------------------------
> mifritscher schrieb:
> ---------------------------------------------------------------------------
> -----
> > Bei www.pdf-insecurity.org knallts (Speicherschutzverletzung) - das
> könnte
> > ein Hinweis auf eine Sicherheitslücke sein.
> >
> > Version: 0.62.0-2ubuntu2.7
>
> Das dürfte dann eher daran liegen dass ubuntu eine uralte Version hat und
> mit dem Backporten der Securityfixes nicht nachkommt. Bei einer aktuellen
> Version crasht das nicht.
> Poppler wurde vor einiger Zeit in das oss-fuzz-Projekt von Google
> aufgenommen und seither wurden hunderte von potentiellen Sicherheitslücken
> gefixt.

potentielle Sicherheitslücken sind wie potentiell Schwangere. Eine Frau kann schwanger sein oder nicht. Potentiell schwanger ist sie seit Geburt aufgrund ihrer Biologie. Eine potentielle Sicherheitslücke bedeutet also das man einen Code bastelt der Sicherheitslücken als feature mitbringt und sie direkt oder indirekt nutzbar sind. Aber bereits durch Vorgaben beim erzeugen des Codes mit eingebaut werden.

Ok..wenn die NSA den Code schreibt könnte er potentielle Sicherheitslücken enthalten. Aber ansonsten sind es existente Sicherheitslücken, wenn dafür ein Bugfix erstellt wird.

[mifritscher]

Naja, eine Speicherschutzverletzung ist bereits an sich eine Sicherheitslücke. Zumindest ein DoS (das Programm stürzt ab). Viele solche Fehlerbilder können zudem für weitere Angriffe ausgenutzt werden, wenn man die Eingabedaten entsprechend anpasst.

[Vash]

Das ist genau dann eine Sicherheitslücke wenn der fehlerhaft beschriebene Speicher auch Code ausführen würde ohne abzustürzen. Stürzt das Programm ab, auch wenn (böser) Code im Speicher vorhanden wäre, ist es doch OK oder?

Also Absturz ist grundsätzlich nicht gut, Denial of Service wird ja erwähnt, aber solange kein fremder Code ausgeführt wird sind wir zumindest in diesem Kontext "sicher" als das kein unerlaubter Zugriff auf Ressourcen gewährt wird.



1 mal bearbeitet, zuletzt am 26.02.19 08:43 durch Vash.

[mifritscher]

Wenn ein Programm mit einer vom Programm ausgegebenen Fehlermeldung kontrolliert abstürzt ist es eine Sache. Ein Programm, das völlig unkontrolliert mit einer Speicherschutzverletzung abstürzt, eine andere. Da hat nämlich das Programm nämlich eben genau versucht, auf unerlaubten Speicher zuzugreifen - und musste vom OS gestoppt werden. Hier konnte das OS noch eingreifen, weil der verbotene Zugriff offensichtlich war (In einem nicht gemappten Teil des virtuellen Adressraums o.ä.) Wenn sowas beim Einlesen von Daten passiert kann man das in >90% der Fälle ausnutzen einen Zugriff auf einen beliebigen Bereich des virtuellen Adressraums zu erzwingen, wo das Programm zugreifen darf (Programmcode, Datenbereich etc.). Wenn der fehlerhafte Zugriff ein schreibender oder ein ausführender war hat man bereits gewonnen (und muss sich höchstens noch um allgemeine Schutztechniken scheren, die man aber, wenn man sich geschickt anstellt, auch umgehen kann - als kleines Beispiel sei ROP genannt). Bei einem fehlerhaften lesenden Zugriff muss man sich die Stelle ein wenig genauer anschauen und schauen, ob man dadurch schreibende oder ausführende Zugriffe beeinflussen kann (Z.B. eine Speicherstelle mit einem bestimmten Wert lesen, wo es dann etwas später zu einem Buffer- oder Stack Overflow kommt, wodurch man wiederrum meist Kontrolle über das Programm gewinnen kann - oder Argumente für einen externen Funktionsaufruf so verbiegen, dass da böse Dinge passieren etc.)